Zum Inhalt

English

Identität eines Geräts registrieren

Zweck

Jedes TPM-Gateway wird mit genau einer Identität registriert. Daran erkennt die Plattform, welches Gateway sich als dieses Gerät verbinden darf. Sie wählen eine von zwei Methoden:

  • AK fingerprint: der Fingerprint des TPM-Attestierungsschlüssels im Gateway, wie bisher. Siehe Gerät hinzufügen.
  • Identity certificate: das eigene X.509-Zertifikat des Gateways, das es beim Verbinden vorlegt. Die Plattform nimmt das Gateway nur mit genau diesem Zertifikat an, Byte für Byte, zusammen mit seinem TPM-Nachweis.

Die Zertifikatsmethode passt, wenn Ihre Gateways bereits ein eigenes Zertifikat tragen und Sie jedes davon kennen, bevor sich das Gateway zum ersten Mal verbindet, zum Beispiel aus Ihrer Fertigung.

Voraussetzungen

  • Sie sind angemeldet, siehe Anmelden.
  • Die Rolle Org Admin oder Editor, um Geräte hinzuzufügen; Org Admin, um eine Identität später zu ändern.
  • Für die Zertifikatsmethode: das Zertifikat des Gateways als PEM-Datei (-----BEGIN CERTIFICATE-----) oder als Base64-DER in einer Zeile. Nur das öffentliche Zertifikat, nie den privaten Schlüssel.

Wann eine Identität Pflicht ist

Wo das Gerät hinzugefügt wird Identität
Add device, jede Bestellung Pflicht: AK-Fingerprint oder Identitätszertifikat.
CSV-Import in eine Bestellung mit dem Vertrauensanker Allowlist oder Vendor chain (TPM-Modi) Pflicht je tpm-Zeile: ak_fingerprint oder identity_cert.
CSV-Import in eine Bestellung mit einer Geräte-CA Optional: Das Zertifikat dieser CA beweist das Gerät.
soft-Zeilen Keine Identitätsspalte.

Eine Zeile oder ein Gerät bekommt eine Methode, nie beide.

Regeln für das Zertifikat

Das Zertifikat wird schon beim Registrieren geprüft, nicht erst, wenn sich das Gateway verbindet:

  • genau ein Zertifikat; eine Kette oder ein privater Schlüssel wird abgelehnt;
  • ein Schlüssel vom Typ EC P-256, EC P-384 oder RSA mit mindestens 2048 Bit;
  • nicht abgelaufen;
  • kommt das Gerät in eine Bestellung mit Geräte-CA, muss diese CA das Zertifikat direkt ausgestellt haben;
  • jedes Zertifikat gehört zu genau einem Gerät.

Verbindet sich das Gateway, vergleicht die Plattform das vorgelegte Zertifikat mit dem registrierten. Jedes andere wird abgelehnt, auch eines derselben CA für dieselbe EUI. Der TPM-Nachweis ist immer zusätzlich nötig. Hat sich das Gateway einmal erfolgreich verbunden, ist sein TPM-Schlüssel hinterlegt: Legt es später kein oder ein abgelaufenes Zertifikat vor, wird es allein über seinen TPM-Nachweis angenommen, nie mit einem anderen Zertifikat.

Schritte

Ein einzelnes Gerät hinzufügen

  1. Gehen Sie zu Devices, klicken Sie auf Add device und tragen Sie EUI und Seriennummer ein, siehe Gerät hinzufügen.
  2. Wählen Sie unter Identity die Option Identity certificate.
  3. Fügen Sie das Zertifikat in Device certificate (PEM or base64 DER) ein oder laden Sie eine .pem-, .crt- oder .der-Datei hoch. Der Dialog zeigt Subject, einen kurzen Fingerprint und das Ablaufdatum. Beim Speichern prüft der Server das Zertifikat noch einmal.
  4. Optional: Wählen Sie unter Order eine Bestellung Ihrer Organisation. Das Gerät kommt in diese Bestellung; hat sie eine Geräte-CA, wird sein Zertifikat gegen diese CA geprüft. Mit Manual entry (this organisation) wird es wie bisher hinzugefügt.
  5. Klicken Sie auf Create device.

Viele Geräte importieren

  1. Klicken Sie unter Orders auf Import devices from CSV, dann auf Download the template. Die Vorlage hat die Spalten eui, serial_number, attestation_level, ak_fingerprint und identity_cert.
  2. Tragen Sie je Zeile entweder ak_fingerprint oder identity_cert ein. Ein PEM-Zertifikat geht über mehrere Zeilen; setzen Sie es deshalb in doppelte Anführungszeichen. Ein Base64-DER-Zertifikat passt in eine Zeile ohne Anführungszeichen. Beide Formen werden automatisch erkannt.
  3. Laden Sie die Datei hoch. Die Vorschau sperrt Zeilen mit beiden Methoden, mit keiner, oder mit einer Zelle, die kein Zertifikat ist.
  4. Klicken Sie auf Commit N valid rows. Jede abgelehnte Zeile steht mit Zeilennummer und Grund in der Liste; die übrigen Zeilen werden importiert.

Identitäten mit einem neuen Import aktualisieren

Um die Identität von Geräten zu ersetzen, die schon in dieser Bestellung sind, etwa nach neu ausgestellten Zertifikaten, importieren Sie eine CSV mit diesen Geräten und setzen den Haken bei Update the identity of devices already in this order (EUI, serial and order stay unchanged).

  • Eine Zeile, deren EUI schon in dieser Bestellung ist, ändert nur die Identität dieses Geräts. EUI, Seriennummer, Bestellung und Template bleiben, wie sie sind.
  • Eine Zeile mit einer neuen EUI wird wie gewohnt importiert.
  • Das Ergebnis zählt importierte und aktualisierte Geräte getrennt.
  • Ohne den Haken ist eine Zeile mit einer schon vorhandenen EUI ein Fehler, wie bisher.

Die Identität eines Geräts ändern

Klicken Sie auf der Geräteseite auf Edit device. Unter Identity können Sie ein neues Zertifikat einfügen, das das registrierte ersetzt, oder zu AK fingerprint wechseln. Der Wechsel zum AK-Fingerprint entfernt das registrierte Zertifikat.

Ergebnis

Die Geräteseite zeigt die Karte Registered identity mit der Methode, dem Fingerprint des Zertifikats (mit Kopierknopf), dem Subject und Valid until. Ein Badge zeigt den Zustand des Zertifikats:

Badge Bedeutung
Valid Mehr als 30 Tage bis zum Ablauf.
Expires soon Läuft innerhalb von 30 Tagen ab. Registrieren Sie rechtzeitig das neue Zertifikat des Gateways.
Expired Ein Gateway, das sich noch nie verbunden hat, wird abgelehnt. Eines, das sich schon verbunden hat, wird allein über seinen TPM-Nachweis angenommen. Registrieren Sie sein neues Zertifikat.

Jede Registrierung und Änderung einer Identität steht im Audit-Log, mit dem Fingerprint des Zertifikats. Das Zertifikat selbst erscheint nicht in Logs.

Häufige Fehler

Genaue Meldung Was zu tun ist
„This contains a private key. Paste the device's certificate only.“ Exportieren Sie das Zertifikat ohne seinen Schlüssel.
„Paste exactly one certificate (PEM or base64 DER).“ Fügen Sie das eigene Zertifikat des Geräts ein, nicht seine Kette.
identity_cert has expired Registrieren Sie das aktuelle Zertifikat des Gateways.
identity_cert does not chain to this order's CA Die Geräte-CA der Bestellung hat das Zertifikat nicht ausgestellt. Wählen Sie die richtige Bestellung oder registrieren Sie die CA, siehe Geräte-CA registrieren.
identity_cert key must be EC P-256/P-384 or RSA >= 2048 Schlüsseltyp oder -länge wird nicht angenommen. Stellen Sie ein Zertifikat mit einem unterstützten Schlüssel aus.
a device with this identity_cert already exists / identity_cert already registered to another device Dieses Zertifikat ist für ein anderes Gerät registriert. Prüfen Sie die Datei; jedes Gateway braucht sein eigenes.
Give either ak_fingerprint or identity_cert, not both Lassen Sie eine der beiden Zellen leer.
Missing ak_fingerprint or identity_cert Die Bestellung verlangt für tpm-Zeilen eine Identität. Tragen Sie eine ein.
an identity is required for this order: ak_fingerprint or identity_cert Dieselbe Prüfung, vom Server.